Brewer-Nash-Modell

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

Das Brewer-Nash-Modell (auch Chinese-Wall-Modell) beschreibt ein IT-Sicherheitsmodell zum Schutz von Daten. Es schützt die Vertraulichkeit von Informationen mittels eines Systems durchgesetzter Regeln. Damit setzt es das Konzept Mandatory Access Control der IT-Systemsicherheit um. Es soll eine „unzulässige Ausnutzung von Insiderwissen bei der Abwicklung von Bank- oder Börsentransaktionen“ oder die Weitergabe von unternehmensspezifischen Insiderinformationen an konkurrierende Unternehmungen durch einen Berater verhindern.[1]:260

Seine Ursprünge hat das Modell in der Finanzbranche und bezeichnet bestimmte Regeln, die verhindern sollen, dass ein Interessenkonflikt herbeigeführt wird (siehe auch Chinese Wall (Finanzwelt)).

Das Brewer-Nash-Modell wurde 1989 von David F.C. Brewer und Michael J. Nash beschrieben[2] und verfolgt eine benutzerbestimmbare Zugriffskontrollstrategie, welche insofern um systembestimmbare Zugriffskontrollen erweitert wird, als dass zukünftige Zugriffsmöglichkeiten eines Subjekts durch seine in der Vergangenheit durchgeführten Zugriffe beschränkt werden.[1]:265

Formale Definition[Bearbeiten | Quelltext bearbeiten]

Die Menge der Subjekte modelliert die Akteure, also z. B. die tätigen Berater in einer Unternehmensberatung, während die Menge der Objekte die Schutzobjekte darstellt, also zum Beispiel sensible Dokumente einer Bank oder eines Unternehmens.

Zugriffsmatrix und Zugriffshistorie[Bearbeiten | Quelltext bearbeiten]

Dem Brewer-Nash-Modell liegt eine Zugriffsmatrix zugrunde, welche angibt, welche Rechte ein Subjekt an einem Objekt zum Zeitpunkt hat. Dabei sind die Rechte im Brewer-Nash-Modell durch festgelegt.

Zusätzlich betrachtet man eine Zugriffshistorie, welche durch eine Matrix gegeben ist. Dabei gilt, dass genau dann, wenn es Zeitpunkte gibt, an denen das Subjekt auf das Objekt mit Berechtigungen zugegriffen hat.

Objektbaum[Bearbeiten | Quelltext bearbeiten]

Die Objekte werden in einem Objektbaum der Tiefe 3 strukturiert: Die Schutzobjekte sind die Blätter des Baumes. Die Elternknoten der Schutzobjekte stellen die Unternehmen oder Bereiche dar, zu denen die Objekte gehören. Für ein Objekt wird das Unternehmen, dem es zugeordnet ist, mit bezeichnet. Die Unternehmen wiederum haben als Elternknoten die Interessenskonfliktklassen, welche für ein gegebenes Objekt durch gekennzeichnet wird. Intuitiv heißt das, dass wenn zwei Unternehmen A und B in der gleichen Interessenskonfliktklasse sind, Subjekte nicht gleichzeitig in Kenntnis von sensiblen Informationen (Objekten) sowohl über A, als auch über B kommen dürfen.

Zusätzlich markiert man Objekte, die allen Subjekten öffentlich zugänglich sein sollen, mit und definiert für diese Objekte entsprechend die Interessenskonfliktklasse .

Leseregel[Bearbeiten | Quelltext bearbeiten]

Nun müssen die systembedingten Zugriffsbeschränkungen definiert werden. Die erste Regel, die Leseregel, besagt, dass ein Subjekt genau dann lesenden Zugriff auf ein Objekt erhält, wenn das Subjekt Leserecht auf das Objekt hat und für alle Objekte, auf die es bereits (mit einem beliebigen Recht) Zugriff hatte, gilt, dass sie öffentlich sind, sie dem gleichen Unternehmen wie zugeordnet sind oder sie einer anderen Interessenskonfliktklasse als angehören. Formal heißt das

Schreibregel[Bearbeiten | Quelltext bearbeiten]

Nur mit der Leseregel lässt sich kein ungewünschter Informationsfluss ausschließen. Es besteht nämlich die Möglichkeit, dass ein Subjekt auf ein Objekt lesend zugreift und dessen Inhalt daraufhin in ein Objekt schreibt, welches in einer anderen Interessenskonfliktklasse als liegt. Ein zweites Subjekt könnte nun zuerst auf ein Objekt zugreifen, welches in der gleichen Interessenskonfliktklasse wie liegt, allerdings einem anderen Unternehmen angehört. Nun könnte sich durch Lesen von unzulässiges Insiderwissen über aneignen, da die Inhalte von und übereinstimmen.

Um diesen Informationsfluss zu verhindern, definieren wir folgende Schreibregel, welche besagt, dass ein Subjekt genau dann schreibenden Zugriff auf ein Objekt erhält, wenn es ein Schreibrecht für besitzt und wenn für alle Objekte, auf welches das Subjekt bereits lesenden Zugriff ausgeübt hat, gilt, dass sie öffentlich oder dem gleichen Unternehmen wie zugeordnet sind. Formal heißt das

Es wird durch diese Regel also genau der oben beschriebene Fall unterbunden, dass ein Subjekt Insiderinformationen über eine andere Interessenskonfliktklasse an einen Konkurrenten weitergibt.

Siehe auch[Bearbeiten | Quelltext bearbeiten]

Einzelnachweise[Bearbeiten | Quelltext bearbeiten]

  1. a b Claudia Eckert: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 6., überarbeitete und erweiterte Auflage. Oldenbourg, 2009, ISBN 978-3-486-58999-3
  2. Dr. David F.C. Brewer, Dr. Michael J. Nash: The Chinese Wall Security Policy. Gamma Secure Systems Limited, 1989, abgerufen am 13. Januar 2008 (PDF; 791 kB, englisch).

Weblinks[Bearbeiten | Quelltext bearbeiten]

  • Dr. David F.C. Brewer and Dr. Michael J. Nash: The Chinese Wall Security Policy. In: IEEE (Hrsg.): Proceedings of IEEE Symposium on Security and Privacy. 1989, S. 206–214.

Literatur[Bearbeiten | Quelltext bearbeiten]

  • Heinrich Kersten: Einführung in die Computersicherheit. Oldenbourg, München u. a. 1991, ISBN 3-486-21873-5 (Sicherheit in der Informationstechnik. 3, Schriftenreihe Bd. 1).
  • Claudia Eckert: IT-Sicherheit. Konzepte – Verfahren – Protokolle. 5. überarbeitete Auflage. Oldenbourg Wissenschaftsverlag, München u. a. 2008, ISBN 978-3-486-58270-3.